南京錠アイコンが本当に意味すること

ブラウザーのアドレスバーに表示される南京錠アイコンは、ブラウザーとWebサーバー間の接続がTLSを使用して暗号化されていることを示します。これにより、通信中のデータを盗聴者が読み取ることを防ぎます。

また、サーバーがブラウザーで検証できる証明書を提示したことも確認できます。その証明書は信頼された認証局（CA）によって署名され、ドメイン名も一致しています。

南京錠アイコンは、そのWebサイト自体が信頼できるか、正当なものかについては何も示しません。犯罪者も、正規の企業と同じように、自分のフィッシングサイト用の有効なTLS証明書を簡単に取得できます。

南京錠アイコンが意味するのは「このサーバーへの接続は暗号化されています」であって、「このWebサイトは安全です」「この企業は正当です」「このページの内容を信頼すべきです」という意味ではありません。

フィッシングサイトでは、日常的にHTTPSが使用されています。Let's Encryptは、ドメインを管理している人なら誰でも自動的に無料の証明書を発行します。その中には、「paypa1.com」や「arnazon.com」のような、見間違えやすいドメインを登録した犯罪者も含まれます。

GoogleのTransparency Reportによると、現在ではフィッシングページの90%以上がHTTPSを使用しています。南京錠アイコンが表示されていても安全性を確実に示すものではないため、ドメイン名自体を確認する必要があります。

最も一般的な種類であるドメイン認証（DV）証明書は、申請者がドメインを管理していることだけを確認します。認証局は、DNSレコード、Webサーバーに配置されたファイル、またはドメインの管理連絡先宛てのメールを使って確認します。

DV証明書は、ACMEプロトコル（Let's Encryptが使用）によって数分で発行できます。ドメインの管理権限は確認できますが、そのドメインの背後にある組織に関する情報は提供しません。

組織認証（OV）証明書では、認証局が組織の法的な存在を確認する必要があります。認証局は、法人登記記録を確認し、組織の住所を確認し、証明書を申請した人物が組織を代表して行動する権限を持っていることを確認します。

OV証明書には、証明書データに組織名が含まれます。発行には数日かかり、DV証明書より高額ですが、組織の身元についてより強い保証を提供します。

拡張認証（EV）証明書では、最も厳格な検証が必要です。法的な存在、事業の実在性、所在地、そして権限を持つ担当者への直接確認が検証対象となります。手続きには1～数週間かかります。

以前は、EV証明書を使用するとブラウザーのアドレスバーに組織名が緑色で表示されていました。しかしChromeは、ユーザーがその表示の意味を理解しておらず、気づいてもいないことを示すユーザビリティ調査を理由に、2019年にEV表示を削除しました。

Certificate Transparency（CT）は、発行されたすべての証明書を公開された監査可能なログに記録する仕組みです。ブラウザーは、証明書を信頼する前に、その証明書がCTログに記録されていることを確認します。

CTログによって、ドメイン所有者は自分のドメインに対して不正に発行された証明書を監視できます。認証局が誤って証明書を発行した場合でも、数時間以内にログに記録されるため、迅速な検出と失効が可能になります。

現在の一般的なブラウザーでは、南京錠アイコンをクリックして接続の詳細を確認できます。Chromeには「接続は安全です」、証明書の有効期間、発行元の認証局が表示されます。「証明書は有効です」をクリックすると、証明書チェーン全体が表示されます。

証明書の詳細には、Common NameとSubject Alternative Names（対象ドメイン）、発行元の認証局、有効期間（not before / not after）、署名アルゴリズムが含まれます。

2017年以降、ChromeはすべてのHTTPページをアドレスバーに「安全ではありません」と表示するようになりました。FirefoxとEdgeもこれに続きました。この警告が表示されるのは、HTTPではすべてのデータが平文で送信され、ネットワーク上の誰でも見られるためです。

「安全ではありません」というラベルは、ユーザーがHTTPページ上のフォームへの入力を始めたときに特に目立つ形で表示されます。これは、認証情報や個人データが暗号化されずに送信されることを警告するものです。

現在、HTTPSはプレミアムなセキュリティ機能ではなく、あらゆるWebサイトに求められる最低限の基準です。HTTPSが使用されているということは通信経路が暗号化されていることを意味しますが、サイト全体の安全性に必要ではあっても、それだけで十分ではありません。

コンテンツの安全性、認証の安全性、認可制御、インジェクション脆弱性の防止など、数多くのセキュリティ特性は、接続でHTTPSを使用しているかどうかとは完全に別のものです。

鍵アイコンを確認するだけでなく、サイトが正規のものかを確かめるには、タイポスクワッティングによる偽ドメインでないか正確なドメイン名を確認し、利用できる場合はOVまたはEV証明書の詳細を確認し、メール内のリンクをクリックするのではなく検索エンジンの結果からサイトを確認し、WHOIS検索でドメインの登録時期と所有者を確認します。

セキュリティを意識している利用者は、アクセスするたびにURLを入力するのではなく、銀行など重要なサイトをブックマークします。これにより、入力ミスで、有効なHTTPS証明書を持つタイポスクワッティングのドメインにアクセスするリスクを減らせます。

鍵アイコンは、暗号化されたTLS接続と、信頼されたCAによる証明書の検証が行われたことを示します。ただし、Webサイトや組織が信頼できることを示すものではありません。

フィッシングサイトでもHTTPSは利用できます。DV証明書に必要なのはドメインの管理権限の確認だけであり、数分で発行されます。Certificate Transparencyのログを利用すると、不正な証明書を監視できます。HTTPSは必要ですが、セキュリティ全体を保証するには不十分です。